Før 11. december 2027 kan et softwarehus ikke afgive en erklæring om overensstemmelse efter forordning (EU) 2024/2847, fordi kravene i bilag I og artikel 13 først gælder fra den dato. Det, der kan vises nu, er indberetningsberedskabet efter artikel 14, som allerede gælder, og status for arbejdet med resten.
Spørgsmålet kan komme i et spørgeskema fra en kunde eller midt i en kontraktforhandling, og det er fristende at svare ja. Denne artikel skiller det, der kan dokumenteres i dag, fra det, der først kan erklæres senere, og viser, hvordan CRA-dokumentation til kunder kan formuleres uden at love for meget.
Hvad der gælder nu, og hvad der gælder senere
Indberetningspligten i artikel 14 trådte i kraft 11. september 2026. Artikel 69, stk. 3, og FAQ’ens afsnit 5.3 lader den omfatte ældre produkter med, også dem, der kom på markedet længe før december 2027. Det er en pligt, der løber i dag, og den kan beskrives som sådan.
Bilag I og artikel 13 gælder fra 11. december 2027. Produkter, der er bragt i omsætning før den dato, er efter artikel 69, stk. 2, og FAQ’ens afsnit 1.4 kun omfattet, hvis de fra datoen ændres væsentligt.
Hvad der ikke kan erklæres
FAQ’en er klar på to punkter. EU-overensstemmelseserklæringen kan efter afsnit 6.8 ikke underskrives, hvis fabrikanten ikke har gennemført en af de relevante vurderingsprocedurer med positivt resultat. CE-mærket kan efter afsnit 6.7 ikke anbringes uden en sådan vurdering.
Desuden er der pr. november 2026 ikke set offentliggjorte henvisninger i EUT til harmoniserede standarder under forordningen. Ingen kan derfor i dag påberåbe sig formodning om overensstemmelse efter artikel 27, stk. 1. Det er vores tolkning ud fra standardiseringens status, men den følger direkte af bestemmelsens ordlyd.
Det betyder, at ord som “CRA-klar”, “CRA-godkendt” og “CRA-certificeret” ikke dækker over noget, forordningen kender. Bruges de i et svar til en kunde, lover de en status, der ikke findes.
Hvad der kan vises nu
Det, der ærligt kan beskrives før datoen, er tilstand og plan. Efter vores vurdering kan det typisk være:
- Indberetningsberedskabet. Hvem der vurderer og indberetter efter artikel 14, og hvordan proceduren er afprøvet. Det er en gældende pligt.
- Supportperioden. Den periode, I har fastsat eller planlægger at fastsætte, og slutdatoen for de produkter, der sælges i dag.
- Komponentlisten. At den findes, og hvordan den holdes ajour. Bilag II, punkt 9, gør det til fabrikantens valg, om brugeren får adgang til den.
- Risikovurderingen. At den er i gang, og hvilke produkter den dækker. Selve vurderingen behøver ikke udleveres.
- Planen. Hvornår I forventer at have gennemført vurderingen for de produkter, der skal sælges efter datoen.
Der er efter FAQ’ens afsnit 6.6 ingen pligt til at give kunderne den tekniske dokumentation. Det er et forretningsvalg, hvor meget der deles.
En formulering, der holder
Et tænkt eksempel på et svar til en kunde:
“Produktet er under forberedelse til forordning (EU) 2024/2847, hvor kravene til produktet træder i kraft 11. december 2027. Indberetningspligten efter artikel 14 gælder allerede, og vi har en procedure for den. Supportperioden for den nuværende version slutter (måned og år). En komponentliste føres for hver version. Risikovurderingen efter artikel 13 er i gang og forventes afsluttet (kvartal og år). Vi erklærer overensstemmelse, når vurderingen er gennemført.”
Formuleringen siger, hvad der er på plads, hvad der er i gang, og hvornår der kan erklæres. Den lover intet, forordningen ikke tillader.
Når kunden er en virksomhed med egne krav
Nogle kunder spørger, fordi de selv kontrollerer deres leverandører. Den side af sagen, hvor kunden stiller krav og følger op, er beskrevet i kontrol af IT-leverandører. For softwarehuset kan det betale sig at spørge, hvad svaret skal bruges til. Så kan svaret rettes mod det, kunden faktisk skal vise.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at salg, produkt og udvikling er enige om, hvad der må siges, og at svaret opdateres, efterhånden som arbejdet skrider frem. En godkendt standardtekst sparer tid og forhindrer, at en sælger lover for meget.
Et svar, der erklærer overensstemmelse før tid, kan blive en del af kontrakten. Bliver produktet senere vurderet, og vurderingen viser mangler, står softwarehuset med et løfte, det ikke kan holde. Vil I have en uvildig gennemgang af, hvor langt jeres produkt er, inden I svarer, kan Nielco IT lave den uden at udstede certifikater eller erklæringer.
Det skal I lade være med
- At skrive “CRA-klar” eller “CRA-certificeret” · betegnelserne har intet grundlag i forordningen.
- At sende den tekniske dokumentation, fordi kunden beder om det · der er ingen pligt, og den kan indeholde forretningshemmeligheder.
- At glemme artikel 14 · indberetningspligten gælder allerede og bør nævnes.
Det skal auditten kunne vise
- ☐ En godkendt standardtekst om status over for kunder.
- ☐ En indberetningsprocedure efter artikel 14, der er afprøvet.
- ☐ En oplyst supportperiode og slutdato for de nuværende versioner.
- ☐ En plan for overensstemmelsesvurderingen med datoer.
- ☐ En beslutning om, hvad der deles med kunder, og hvad der ikke deles.
Kilder
- Forordning (EU) 2024/2847 om cyberrobusthed, artikel 14, 27, 69 og 71 samt bilag II, læst 13. november 2026 i Publikationskontorets udgave af EUT-teksten.
- Europa-Kommissionen, FAQs on the Cyber Resilience Act, version 1.4, afsnit 1.4, 5.3, 6.6, 6.7 og 6.8, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find det seneste svar, jeres salgsafdeling har givet en kunde om CRA, og læs det igen med denne artikel i hånden.
Læs også: Skal kunderne have komponentlisten? · Versioner fra før 11. december 2027
→ Kontakt · Tlf. 70 13 63 23 · Cyber Resilience Act hos Nielco IT
